Agent 安全 · 论文

LoginTrap：针对 LLM Web Agent 的任务无关钓鱼式间接提示注入攻击

提出 LoginTrap，用网页弹窗实施任务无关钓鱼式间接提示注入并窃取敏感信息

arXiv

2608.04741

发表

8月5日

层

应用层

场景

网页与电脑操作

测试

DeepSeek-V3.2、Browser-Use、LiteWebAgent 等 7 个

• 攻击提示注入
• 技术自动化搜索

微软研究院发布 CAVEAT

提出 CAVEAT 基准，评测购物 Agent 在商业引导下的决策偏离

arXiv

2609.27273

发表

9月23日

层

应用层

场景

网页与电脑操作

测试

DeepSeek-V4-Flash、Fara1.5-27B、CAVEAT-27B 等 14 个

WebMirage 用对抗图像劫持视觉网页 Agent 的浏览器操作

提出 WebMirage，用对抗图像劫持视觉网页智能体的浏览器操作

arXiv

2610.09240

发表

10月7日

层

应用层

场景

网页与电脑操作

测试

LLaVA-v1.5-13B、LLaVA-v1.6-34B、MiniCPM-o-8B 等 6 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉
• +1+1

APEX：在 LLM Agent 执行边界主动防御间接提示注入

提出 APEX，在执行边界用预编译授权契约防御 Agent 间接提示注入

arXiv

2610.06966

发表

10月4日

层

应用层

场景

AI Agent

测试

DeepSeek-V4-Flash、GLM-5.2、GPT-5.6-sol 等 4 个

• 防御权限与审批
• 攻击提示注入
• 组件MCP 与技能
• +2+2

DIBench：面向移动 GUI 智能体多候选选择决策完整性的安全基准

提出 DIBench，评测界面注入对移动智能体选择决策的操纵

arXiv

2610.06898

发表

9月29日

层

应用层

场景

网页与电脑操作

测试

GUI-Owl(32B)、Mai-UI(8B)、Qwen2.5-VL(32B) 等 7 个

• 攻击提示注入
• 技术跨模态载荷
• 组件视觉

COBRA：为计算机使用 Agent 防御分支引导攻击的双 LLM 架构

提出 COBRA，用分支能力约束与代理拦截防御计算机使用 Agent 的分支引导攻击

arXiv

2610.03089

发表

10月2日

层

应用层

场景

网页与电脑操作

测试

OpenCUA-7B、OpenCUA-32B、gpt-5 等 6 个

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

ActBench：面向协作智能体行为安全的自演化基准

提出自演化基准 ActBench，评测协作智能体的操作级行为安全

arXiv

2608.09476

发表

8月10日

层

应用层

场景

AI Agent

测试

Deepseek-v4-Pro、Deepseek-v4-Flash、Claude-Opus-4.8 等 15 个

• 攻击提示注入
• 组件记忆
• +2+2

SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%

提出 SecOPD 同策略蒸馏微调，降低模型对自适应提示注入的顺从

arXiv

2608.21500

发表

8月22日

层

应用层

场景

AI Agent

测试

SecOPD、Qwen3.6-27B (Undefended)、Meta-SecAlign

• 防御模型加固
• 攻击提示注入

SCOPE：训练有能力且安全的计算机使用智能体

提出 SCOPE 联合后训练计算机使用智能体的任务执行与安全决策

arXiv

2609.22178

发表

8月27日

层

应用层

场景

网页与电脑操作

测试

SCOPE-mid-checkpoint、SCOPE-Capability-Safety、SCOPE-RL 等 14 个

• 防御模型加固
• 攻击提示注入

PACE：面向工具调用 LLM Agent 的来源感知能力强制执行

提出 PACE，在工具调用前对 Agent 做路径隔离与效果授权

arXiv

2610.01349

发表

10月2日

层

应用层

场景

AI Agent

测试

DeepSeek-V4-Flash、gpt-5.6-luna、Qwen-3.8-27B

• 防御指令与数据隔离
• 攻击提示注入
• 组件MCP 与技能
• +1+1

AgentLSD：在对抗性任务污染下评测 AI 安全 Agent

用 AgentLSD 评测安全 Agent 在对抗任务污染下的解题与开销

arXiv

2609.19140

发表

9月17日

层

应用层

场景

网页与电脑操作

测试

DeepSeek-V4 Flash、Gemma-4 31B、GPT-OSS 120B 等 6 个

• 攻击提示注入

ActGuard：面向 LLM Agent 间接提示注入的执行前动作审计框架

提出 ActGuard，在执行前审计并遮盖诱发动作偏离的间接注入

arXiv

2609.14987

发表

9月14日

层

应用层

场景

AI Agent

测试

DeepSeek-V4-Flash、GPT-4o-mini、Gemini-2.5-Flash 等 7 个

• 防御监控与审计
• 攻击提示注入
• 组件监控器
• +2+2

SoK 论文提出 FARSIGHT 框架，评测 15 个学术金融 LLM 交易 Agent 的鲁棒性与安全失败

用 FARSIGHT 方案级评测金融 LLM 交易 Agent 的稳健性与安全

arXiv

2609.19705

发表

9月17日

层

应用层

场景

AI Agent

测试

DeepSeek-V3、GPT-4、GPT-4o 等 7 个

• 攻击提示注入
• 风险Agent 危险操作
• 组件记忆
• +1+1

特拉维夫大学提出爆炸性提示词：条件触发的间接提示注入可绕过九款生产 Agent

提出条件触发的爆炸提示词，延迟激活 Agent 的间接提示注入

arXiv

2609.22510

发表

9月19日

层

应用层

场景

AI Agent

测试

Devin AI CLI、Llama-3.1-8B-Instruct、Llama-3.1-70B-Instruct 等 14 个

• 防御检测与过滤
• 攻击提示注入
• 技术潜伏触发
• 组件护栏与评审

用课程强化学习对前沿模型做提示注入红队测试

提出跨目标课程强化学习，生成间接提示注入以劫持智能体

arXiv

2609.33628

发表

9月27日

层

应用层

场景

AI Agent

测试

DeepSeek-v4-flash-0731、Qwen3-4B-Instruct-2507、GPT-4o-mini 等 14 个

• 攻击提示注入
• 技术自动化搜索

Tracekit：面向自主编码 Agent 的防篡改意图-推理-动作审计系统

提出 Tracekit，对编码 Agent 做防篡改的意图-推理-动作审计

arXiv

2609.35659

发表

9月29日

层

应用层

场景

编程 Agent

测试

独立评审（同一 CLI，无工具）、Claude Code (claude -p, version 2.1)

• 防御监控与审计
• 攻击提示注入
• 风险Agent 危险操作
• 组件监控器
• +3+3